cách thích hợp để sudo hơn ssh

Tôi có một tập lệnh chạy tập lệnh khác thông qua SSH trên máy chủ từ xa bằng sudo. Tuy nhiên, khi tôi gõ mật khẩu, nó sẽ hiển thị trên thiết bị đầu cuối. (Nếu không thì nó hoạt động tốt)

ssh user@server "sudo script"

Cách thích hợp để làm điều này là gì để tôi có thể nhập mật khẩu cho sudo qua SSH mà không cần mật khẩu xuất hiện khi tôi nhập?

Một cách khác là sử dụng công -ttắc để ssh:

ssh -t user@server "sudo script"

Xem man ssh:

 -t      Force pseudo-tty allocation.  This can be used to execute arbi-
         trary screen-based programs on a remote machine, which can be
         very useful, e.g., when implementing menu services.  Multiple -t
         options force tty allocation, even if ssh has no local tty.

Tôi đã có thể tự động hóa hoàn toàn nó bằng lệnh sau:

echo pass | ssh -tt user@server "sudo script"

Ưu điểm:

• không nhắc mật khẩu
• Sẽ không hiển thị mật khẩu trong lịch sử bash máy từ xa

Về bảo mật: như Kurt đã nói, chạy lệnh này sẽ hiển thị mật khẩu của bạn trên lịch sử bash cục bộ của bạn và tốt hơn là lưu mật khẩu trong một tệp khác hoặc lưu tất cả lệnh trong tệp .sh và thực thi nó. LƯU Ý: Tệp cần phải có quyền chính xác để chỉ những người dùng được phép mới có thể truy cập.

Giả sử bạn muốn không có mật khẩu nhắc :

ssh $HOST 'echo $PASSWORD | sudo -S $COMMMAND'

Thí dụ

ssh me@localhost 'echo secret | sudo -S echo hi' # outputs 'hi'

Sudo qua SSH truyền mật khẩu, không yêu cầu tty:

Bạn có thể sử dụng sudo over ssh mà không buộc ssh phải có pseudo-tty (không sử dụng công tắc ssh "-t") bằng cách nói với sudo không yêu cầu mật khẩu tương tác và chỉ lấy mật khẩu khỏi stdin. Bạn làm điều này bằng cách sử dụng công tắc "-S" trên sudo. Điều này làm cho sudo nghe mật khẩu trên stdin và ngừng nghe khi thấy một dòng mới.

Ví dụ 1 - Lệnh từ xa đơn giản

Trong ví dụ này, chúng tôi gửi một whoamilệnh đơn giản :

$ ssh user@server cat \| sudo --prompt="" -S -- whoami << EOF
> <remote_sudo_password>
root

Chúng tôi đang nói với sudo đừng đưa ra lời nhắc và lấy đầu vào từ stdin. Điều này làm cho mật khẩu sudo chuyển hoàn toàn im lặng để phản hồi duy nhất bạn nhận được là đầu ra từ whoami.

Kỹ thuật này có lợi ích là cho phép bạn chạy các chương trình thông qua sudo qua ssh mà bản thân chúng yêu cầu đầu vào stdin. Điều này là do sudo đang tiêu thụ mật khẩu qua dòng stdin đầu tiên, sau đó để cho bất kỳ chương trình nào nó chạy tiếp tục lấy stdin.

Ví dụ 2 - Lệnh từ xa yêu cầu stdin của riêng nó

Trong ví dụ sau, lệnh "cat" từ xa được thực thi thông qua sudo và chúng tôi đang cung cấp thêm một số dòng thông qua stdin để con mèo từ xa hiển thị.

$ ssh user@server cat \| sudo --prompt="" -S -- "cat" << EOF
> <remote_sudo_password>
> Extra line1
> Extra line2
> EOF
Extra line1
Extra line2

Đầu ra chứng tỏ rằng <remote_sudo_password> dòng đang được sử dụng bởi sudo và con mèo được thực hiện từ xa sau đó sẽ hiển thị các dòng phụ.

Một ví dụ về nơi điều này sẽ có lợi là nếu bạn muốn sử dụng ssh để truyền mật khẩu cho một lệnh đặc quyền mà không sử dụng dòng lệnh. Nói, nếu bạn muốn gắn một container được mã hóa từ xa qua ssh.

Ví dụ 3 - Gắn một thùng chứa VeraCrypt từ xa

Trong tập lệnh ví dụ này, chúng tôi đang gắn một bộ chứa VeraCrypt từ xa thông qua sudo mà không có bất kỳ văn bản nhắc nhở nào:

#!/bin/sh
ssh user@server cat \| sudo --prompt="" -S -- "veracrypt --non-interactive --stdin --keyfiles=/path/to/test.key /path/to/test.img /mnt/mountpoint" << EOF
SudoPassword
VeraCryptContainerPassword
EOF

Cần lưu ý rằng trong tất cả các ví dụ dòng lệnh ở trên (mọi thứ trừ tập lệnh), << EOFcấu trúc trên dòng lệnh sẽ khiến mọi thứ được nhập, bao gồm cả mật khẩu, được ghi lại cục bộ .bash_history của máy . Do đó, rất khuyến khích rằng để sử dụng trong thế giới thực, bạn nên sử dụng hoàn toàn thông qua một tập lệnh, như ví dụ veracrypt ở trên, hoặc, nếu trên dòng lệnh thì hãy đặt mật khẩu vào một tệp và chuyển hướng tệp đó qua ssh.

Ví dụ 1a - Ví dụ 1 Không có mật khẩu dòng lệnh cục bộ

Ví dụ đầu tiên sẽ trở thành:

$ cat text_file_with_sudo_password | ssh user@server cat \| sudo --prompt="" -S -- whoami
root

Ví dụ 2a - Ví dụ 2 không có mật khẩu dòng lệnh cục bộ

và ví dụ thứ hai sẽ trở thành:

$ cat text_file_with_sudo_password - << EOF | ssh va1der.net cat \| sudo --prompt="" -S -- cat
> Extra line1
> Extra line2
> EOF
Extra line1
Extra line2

Đặt mật khẩu vào một tệp riêng là không cần thiết nếu bạn đặt toàn bộ nội dung trong tập lệnh, vì nội dung của tập lệnh không kết thúc trong lịch sử của bạn. Tuy nhiên, nó vẫn có thể hữu ích trong trường hợp bạn muốn cho phép người dùng không nhìn thấy mật khẩu để thực thi tập lệnh.

Cách tốt nhất là ssh -t user@server "sudo <scriptname>", ví dụssh -t user@server "sudo reboot" . Nó sẽ nhắc mật khẩu cho người dùng trước rồi mới root (vì chúng tôi đang chạy tập lệnh hoặc lệnh với quyền root.

Tôi hy vọng nó đã giúp và xóa tan nghi ngờ của bạn.

NOPASStrong cấu hình trên máy mục tiêu của bạn là giải pháp. Tiếp tục đọc tại http://maestric.com/doc/unix/ubfox_sudo_without_password

echo $VAR_REMOTEROOTPASS | ssh -tt -i $PATH_TO_KEY/id_mykey $VAR_REMOTEUSER@$varRemoteHost 
echo \"$varCommand\" | sudo bash

Tôi đã đối mặt với một vấn đề,

user1@server1$ ssh -q user1@server2 sudo -u user2 rm -f /some/file/location.txt

Output:
sudo: no tty present and no askpass program specified

Sau đó tôi đã thử với

#1
vim /etc/sudoers
Defaults:user1    !requiretty

không làm việc

#2
user1   ALL=(user2)         NOPASSWD: ALL

Điều đó đã làm việc đúng!

Tùy thuộc vào cách sử dụng của bạn, tôi đã thành công với những điều sau đây:

ssh root@server "script"

Điều này sẽ nhắc nhập mật khẩu gốc và sau đó thực hiện lệnh chính xác.